Nous avons récemment rencontré Klaus Schenk, PhD, responsable de la recherche sur la sécurité et les menaces, ainsi que Tom Powledge, nouveau responsable de l'activité cybersécurité de Verimatrix, pour discuter du caractère unique des informations sur les menaces et des solutions de cybersécurité proactives de l'entreprise pour les développeurs/éditeurs d'applications mobiles. Avec près de 50 ans d'expérience dans le secteur de la cybersécurité, Schenk et Powledge soulignent tous deux la dépendance croissante à l'égard des appareils mobiles ainsi que la nécessité de protéger correctement les applications mobiles, leurs utilisateurs et les entreprises concernées. 

Ce que Tom Powledge a à dire

Je suis très heureux d'avoir rejoint Verimatrix, car l'entreprise s'attaque à ce que je considère comme une surface d'attaque très sous-estimée. Lorsqu'on pense à ce que les entreprises doivent faire pour assurer leur sécurité, en particulier lorsque les consommateurs effectuent des transactions de grande valeur en ligne, la sécurité des applications mobiles est souvent négligée, la sécurité des applications mobiles est souvent négligée comme un problème majeur. Par exemple, lorsque vous utilisez un appareil mobile non protégé, il existe un risque d'attaques contre ces applications. Les consommateurs sont victimes d'escroqueries et perdent de l'argent sur leurs comptes bancaires. Il s'agit donc d'une véritable opportunité de répondre à un besoin qui, à mon avis, est mal satisfait sur le marché.

Les gens ont souvent l'impression que les applications sont intrinsèquement plus sûres que les autres outils numériques parce que les attaques contre les applications sont tout simplement plus spécialisées. Les attaques par hameçonnage et les ransomwares sont les deux principaux sujets dont tout le monde parle. Les attaquants s'attaquent à des cas d'utilisation particuliers dans des marchés verticaux spécifiques tels que les services financiers et l'automobile. Actuellement, le nombre et la visibilité des attaques contre les applications mobiles ne sont pas aussi élevés, mais la gravité de ces attaques, en termes de pertes financières réelles pour les consommateurs, les banques et d'autres, est importante. Et à l'avenir, nous prévoyons une augmentation des menaces.

Un autre aspect à prendre en compte est le degré de dépendance que nous aurons à l'égard de nos téléphones à l'avenir. Par exemple, l'utilisation d'un téléphone portable comme code PIN pour les comptes bancaires ou les distributeurs automatiques de billets, ou comme moyen d'entrer chez soi. À l'avenir, je peux imaginer un scénario dans lequel je m'approcherais d'un distributeur automatique de billets et où celui-ci m'authentifierait déjà, me permettant de retirer de l'argent simplement parce que je me trouverais à proximité du distributeur. Par ailleurs, nous effectuons de plus en plus de transactions sensibles sur des appareils mobiles en général. Nous assistons en permanence à l'émergence de technologies qui permettent aux applications mobiles de changer la vie des gens et d'améliorer les affaires. Il s'agit d'une opportunité formidable et d'un domaine qui doit être protégé de manière adéquate.

Les entreprises cherchent à se protéger et à protéger leur connexion à leurs applications mobiles, tout en s'assurant qu'elles protègent les utilisateurs de leurs applications. Prenons l'exemple des banques en Asie, par exemple à Singapour. Il arrive, notamment sur les téléphones Android, que des personnes se fassent escroquer et téléchargent des applications sur leur téléphone sans passer par le Google Play Store. Ces applications contiennent des logiciels malveillants ; ce sont des chevaux de Troie. Elles obtiennent les identifiants des comptes bancaires des utilisateurs et permettent aux pirates d'accéder à ces comptes et de voler de l'argent. Les banques dédommagent généralement les clients et subissent donc des pertes financières. Cependant, imaginez un consommateur qui ne peut soudainement plus accéder à son compte bancaire. Imaginez que vous perdiez 30 000 dollars. Même si vous les récupérez, il s'agit là d'un problème majeur qui se produit aujourd'hui dans le monde réel. 

Il y a aussi le vol de propriété intellectuelle, qui nuit à l'entreprise. Par exemple, si quelqu'un peut rétroconception de votre application mobileil pourrait accéder à vos algorithmes ou à vos informations d'identification. Je peux alors me faire une idée de ce qu'est votre propriété intellectuelle, et l'autre partie est une violation de données. Je peux alors obtenir un accès non autorisé à votre infrastructure réseau et extraire des données. Cela conduit à des violations potentielles du GDPR et à des problèmes de fuite de données. D'où la nécessité d'une protection des applications mobiles vient de plusieurs angles importants.

Verimatrix fournit des informations en temps réel sur l'état de vos applications dans la nature. Votre application est-elle attaquée ? Nous créons de la visibilité dans des domaines où elle n'existait pas traditionnellement. Essentiellement, nous offrons des informations sur la façon dont votre entreprise et/ou vos clients sont exposés à des risques qu'ils ne connaissaient pas auparavant, et nous vous permettons de prendre les mesures d'adaptation qui conviennent à votre entreprise. 

Par exemple, si quelqu'un essaie de voler la propriété intellectuelle, notre priorité est de le bloquer et de l'arrêter immédiatement. Nous voulons être proactifs dans l'identification et l'arrêt de ces attaques. Nos applications sont configurables en fonction des besoins du client ; ainsi, si la principale préoccupation d'un client est d'arrêter les attaquants, notre solution est adaptée pour verrouiller et arrêter l'attaquant de manière efficace. Nous nous efforçons d'empêcher les attaquants de voler la propriété intellectuelle. Je décrirais notre approche comme des actions configurables et réactives basées sur les besoins du client. Par exemple, s'il y a une attaque dans le domaine bancairePar exemple, en cas d'attaque dans une situation bancaire, comme quelqu'un qui tente de retirer de l'argent d'un compte, nous pouvons détecter les signes d'une attaque par l'intermédiaire d'un téléphone portable. L'utilisateur peut ne pas s'en rendre compte, mais nous pouvons intervenir en restreignant l'accès et en exigeant qu'il appelle. Il s'agit d'actions réactives adaptées aux besoins du client. C'est ce qui distingue Verimatrix.

Ce qu'en dit Klaus Schenk, PhD

Klaus Schenk

En développant VMX Labs, un service de conseil sur les cybermenaces au sein de Verimatrix, nous aidons constamment nos employés et nos clients potentiels à comprendre comment les criminels pourraient attaquer à l'avenir et à améliorer leurs méthodes d'attaque. L'une des contributions de VMX Labs est d'analyser les attaques afin d'anticiper celles à venir et d'appliquer ces connaissances au développement de produits. Cela permet de se protéger contre les attaques futures et de les prévenir, offrant ainsi des avantages tangibles aux entreprises qui dépendent de nous.

La découverte de nouveaux vecteurs d'attaque et trouver des méthodes de prévention permet également de fournir des informations aux clients. Nos clients sont particulièrement vigilants, donc si nous découvrons un nouveau vecteur d'attaque et que nous expliquons comment nous pouvons le prévenir, alors bien sûr, c'est utile pour tout le monde. C'est utile. Même si nous ne poursuivons pas les criminels eux-mêmes, nous sommes à la pointe, ou à la frontière, de la cybersécurité et de son évolution, ce qui crée un sentiment d'excitation et d'utilité au sein de nos équipes.

Les questions et les demandes des clients actuels et potentiels de Verimatrix sont toujours les bienvenues. Les questions commencent généralement par des demandes de clients concernant des attaques spécifiques ou même des faux positifs et la question de savoir si nous pouvons nous en protéger. Nous cherchons toujours à aligner les caractéristiques de nos produits sur les préoccupations et les cas d'utilisation spécifiques des clients, et c'est ce dialogue très solide entre nous qui nous permet d'améliorer et de développer nos solutions.

Un exemple de cette innovation concerne nos capacités de détection. Je suis très enthousiaste quant à notre rôle dans la détection. Il est essentiel pour nous d'être à l'avant-garde. Prenons l'exemple d'une application bancaire. Les applications bancaires ne se connectent qu'à des services bancaires très spécifiques. Toute connexion qui s'écarte de la norme justifie une enquête. Cette approche place Verimatrix dans une position unique pour détecter les attaques de la chaîne d'approvisionnement pour ces banques. Nous pouvons identifier des connexions sortantes malveillantes que d'autres pourraient manquer. En effet, contrairement aux plateformes génériques, nous ne nous appuyons pas uniquement sur la liste blanche. Lorsque nous sommes intégrés dans l'appareil, nous disposons de capacités de surveillance plus étendues. Les équipes de recherche et de produits collaborent étroitement pour adapter à la fois la protection et la surveillance, offrant ainsi bien plus que ce que les plateformes génériques peuvent fournir.

Nous avons tendance à attirer des clients dans des secteurs très réglementés ou dans ceux qui traitent de transactions sensibles, de propriété intellectuelle et qui s'inquiètent des fuites de données. Ce sont des domaines où la sécurité est primordiale. Nous arrivons à un stade où l'on prend de plus en plus conscience des vulnérabilités associées aux téléphones mobiles en tant que plateforme d'accès à des ressources sensibles. Du point de vue d'un RSSI d'entreprised'une entreprise, la protection de ce terrain mobile est un défi. Il faut se rendre compte que les méthodes traditionnelles ne sont pas suffisantes pour ce type de problème. La solution réside dans le concept de protection in-app. Essentiellement, vous devez intégrer la protection dans l'application elle-même pour sécuriser efficacement ces environnements, en particulier dans les scénarios où vous n'avez pas de contrôle sur le terrain externe. C'est là que Verimatrix brille.

Pour plus d'informations sur Verimatrix XTD, notre produit de protection et de surveillance des applications mobiles, ou sur toute autre solution de cybersécurité, cliquez ici.